日本を狙うばらまきメールキャン
ペーンの脅威動向分析と対策
ばらまきメール回収の会
一般社団法人JPCERTコーディネーションセンター 佐條 研
株式会社みずほフィナンシャルグループ 武田 康博
伊藤忠商事株式会社 丹羽 祐介

アジェンダ
1.
2.
3.
4.
5.
6.

2

自己紹介
ばらまきメール概要
ダイヤモンドモデルに基づいた脅威分析
アクティブディフェンス
ばらまきメールへの対策
まとめ1.1. 自己紹介: ばらまきメール回収の会
ばらまきメールの情報を共有する個人の繋がりのコミュニティ活動
ユーザ系企業CSIRT担当とセキュリティベンダ所属が半々程度<モチベーション>
ばらまきメールの情報を素早く入手・共有することで、被害を減らしたい<活動概要>
ばらまきメールをいち早く受信した組織が情報発信し、他の組織と一緒に分析し、対策に必要な情報をオープンに発信
3<発表者>@bomccss, @AIR3_ytakeda, @gorimpthon

1.2. 本日のテーマ
ばらまきメールの被害を減らす為に以下を知る▪ ばらまきメールの手口▪ キャンペーンの動向▪ ばらまきメールへの対抗手段
今回の発表は日本で最もばらまきメールの多い
マルウェアUrsnifへの感染を狙ったばらまきメールについて42. ばらまきメールとは[我々の対象の定義]
不特定多数の組織に向けて配信されたマルウェアへの感染を狙った
日本を対象にした主に日本語で書かれたメール※マルウェアへの感染は添付ファイルやリンクからのダウンロード

企業で受信するマルウェアへ感染するメールのうち、約75%は日本を狙った日本語のばらまきメール52.1. 日本を狙ったばらまきメール
日本のばらまきメールは2014年から常に発生。
主に不正送金マルウェアを配布することが目的
2014年 05月

VAWTRAK2015年10月

Shifu (AnglerEK)

2015年12月

Bebloh2016年 03月

Ursnifのキャンペーン

2019年 09月

Emotet

本調査は、2016年から現在までのデータを元に分析
6

(参考) Ursnif （a.k.a gozi, ISFB, Dreambot, snifula, Papras）▪ Banking Trojan▫ 世界的には2006年から観測、日本標的は2016年▫ オンライン決済時に偽画面を表示してアカウント情報を入力させて盗み出すマルウェア▫ 日本の金融機関のアカウント情報を標的にしている▫ 端末に保存されている認証、メール設定、ブラウザ関連情報なども窃取▫ UrsnifにTor通信機能が付いたものはDreambotと呼ばれる▪ 感染経路▫ メール▫ Web (EK)
▫ 他のマルウェア

72.1. 日本を狙ったばらまきメール
月毎の発生回数(同日同種のばらまきを1回)
ばらまきメールの発生回数82.1. 日本を狙ったばらまきメール
日本向けばらまきメールのうちUrsnifに感染する内訳

9

2.2. 日本を狙ったUrsnifのばらまきメール102.2. 日本を狙ったUrsnifのばらまきメール112.3. Ursnifを使ったキャンペーンの流れ
不正送金までの全体の流れを4段階で整理
1. spam配信
2. Ursnifダウンロード
3. Ursnif感染(コンフィグ配信)
4. 不正送金

122.3. Ursnifを使ったキャンペーンの流れ
指示
Cutwail
C2

Cutwail
感染端末

スパムメール+
ダウンローダ

Ursnif情報漏えい

コンフィグ
銀行サイト等
口座情報
カード情報
マニュピレーション
サーバ
13

Webインジェクション

Ursnif-C2

2.3. Ursnifを使ったキャンペーンの流れ
指示
Cutwail
C2

Cutwail
感染端末

スパムメール+
ダウンローダ1.spam配信

Ursnif情報漏えい

コンフィグ
銀行サイト等
口座情報
カード情報
マニュピレーション
サーバ
14

Webインジェクション

Ursnif-C2

2.3. Ursnifを使ったキャンペーンの流れ
2.Ursnifダウンロード
指示
Cutwail
C2

Cutwail
感染端末

スパムメール+
ダウンローダ

Ursnif情報漏えい

コンフィグ
銀行サイト等
口座情報
カード情報
マニュピレーション
サーバ
15

Webインジェクション

Ursnif-C2

2.3. Ursnifを使ったキャンペーンの流れ
指示
Cutwail
C2

Cutwail
感染端末

スパムメール+
ダウンローダ

Ursnif情報漏えい

コンフィグ
銀行サイト等
口座情報
カード情報
マニュピレーション
サーバ
16

Webインジェクション

Ursnif-C2

3.Ursnif感染
コンフィグ配信2.3. Ursnifを使ったキャンペーンの流れ
指示
Cutwail
C2

Cutwail
感染端末

スパムメール+
ダウンローダ

Ursnif情報漏えい

コンフィグ
銀行サイト等
口座情報
カード情報
マニュピレーション
サーバ
17

Webインジェクション
4.不正送金Ursnif-C2

2.3. Ursnifを使ったキャンペーンの流れ
2.Ursnifダウンロード
指示
Cutwail
C2

Cutwail
感染端末

スパムメール+
ダウンローダ1.spam配信

Ursnif情報漏えい

コンフィグ
銀行サイト等
口座情報
カード情報
マニュピレーション
サーバ
18

Ursnif-C2

3.Ursnif感染
コンフィグ配信

Webインジェクション
4.不正送金2.4. キャンペーン全体概要
ばらまき手法、感染手法、マルウェアのC2等から2つのアクターが日本を標的にしたキャンペーンを実施していると推測▪ Group-A
Group-A
メールに添付されたxlsファイルから感染▪ Group-B
Group-B
主にメールに記載されたURLから感染
19

2.4. キャンペーン全体概要

20Group-A

2.4. キャンペーン全体概要

21

Group-B

2.4. キャンペーン全体概要
2つのUrsnifのキャンペーンの特徴

22

分類

Group-A
Group-A

Group-B
Group-B

メール内容

請求書を騙るものが多い

オンラインショップ/銀行を騙るものが多いメール配信
経路

Cutwailのみ

主にCutwailを使うが、他の方法も使用する

添付
ファイル

マクロ付きxlsファイル
高度な難読化

主にメール内リンクからjsファ
イル

マルウェア

Bebloh + Ursnif(Gozi)

Ursnif(Dreambot)

標的

銀行※確認が困難銀行、カード会社、仮想通貨事業者

3. キャンペーンの脅威分析
ばらまきをダイヤモンドモデルに基づいて
TTPsとアクターを分析
Adversary●●

Infrastructure●●

Capability

スパムボットC2●●Victim
23

標的
役割分担

●
●

ボットネット
不正送金

添付ファイルマルウェア

3.1. メール配信
二つのグループは異なる配信手法を利用している▪ Group-A▫ Cutwail-A▪ Group-B▫ Web (EK)
▫ Cutwail-A▫ Cutwail-B▫ 侵害したメールアカウント▫ 返信型▫ Emotet24

3.1. メール配信
二つのグループは異なる配信手法を利用している▪ Group-A▫ Cutwail-A▪ Group-B▫ Web (EK)
▫ Cutwail-A▫ Cutwail-B▫ 侵害したメールアカウント▫ 返信型▫ Emotet25

3.1.1. Cutwail概要
スパムボット、ばらまきメールを配信する▪ 日本向けに2種類のマルウェアを確認▪ それぞれ別のボットネットを構築▫ 古くからある方をCutwail-A▫ 新しく出来た方をCutwail-B と呼んでいる▪ Cutwail-AとCutwail-BではC2のIPアドレスが異なる▫ マルウェアのコードはほぼ同じ

26

(参考) Cutwail（a.k.a Pandex, Harebot, Pushdo）▪ Spam Bot▫ 世界的には2007年から観測、日本標的は2016年▫ 現在も稼働中(10年以上稼働しているSpam Bot)
▫ 送信メール内容と宛先メールアドレスをC2から受信して稼働▫ 宛先メールサーバに直接SMTPで送信する▫ 現在稼働しているC2は2種類▪ 感染経路▫ Pushdo（ダウンローダ）に感染するとCutwailを取得する▫ Pushdoへの感染はBeblohまたはUrsnif感染後の追加ペイロード27

3.1.1. Cutwail概要
Cutwail-A

Cutwail-B

稼働時期

2007年頃〜現在

2017/09頃〜現在

配信対象国(2016年〜現在)

日本、イタリア、ポーラ
ンド、ドイツ、スペイン

日本のみ

感染端末数

10,761 (2019/03/13 sinkhole にて観測)

最大配信可能量 一回に2000万通
(推測)
特徴

28

観測したものは全て添付ファイル付き一回に3億通ほぼURLから誘導、まれに添付、フィッシングメール
も送信3.1.1.1. Cutwail-A▪ 2007年頃から存在▪ 配信先で一番多い国は日本▫ 次いで、イタリア、ポーランド▫ 他には、ドイツ、スペインも▪ 主にxlsを添付ファイルにしたメール▫ 日本向けはxlsからBeblohに感染させるケースを多く観測▪ Cutwail自身の感染端末を拡大する動きが見られる▫ 最近では2019/07〜09にDHLを騙るメールでUrsnifを経由した
Cutwailのばらまきを観測29

3.1.1.2. Cutwail-B▪ 2017/09頃に日本向けに作られた▫ この時期にUrsnif-Bに感染するとCutwail-Bに追加感染した▪ 配信するのは日本向けメールのみ▪ 主にマルウェアに誘導するURLが書かれたメール▫ フィッシングサイトのURLへ誘導するメールもばらまく▫ 添付ファイル付きメールを出したのは過去4回程度▪ 2019/01以降はフィッシングメールのみ観測

30

3.1.1.3. Cutwailの最大配信可能量
観測情報から配信量を算出
Cutwail-A

Cutwail-B

1端末の配信量

5,000通50,000-60,000通

感染端末数

約4,000IP

約6,000IP

最大配信可能量 2,000万通

3億通

シンクホールによる感染端末数10,761 (2019/03/13時点 A,B合計)
受信したメールの送信元IPの割合を考慮し、A:B=2:3
Thanks @58_158_177_102
31

3.1.1.4. Cutwailによる配信の内訳
Ursnifに感染するばらまきメールの配信経路による内訳

32

3.1. メール配信
二つのグループは異なる配信手法を利用している▪ Group-A▫ Cutwail-A▪ Group-B▫ Web (EK)
▫ Cutwail-A▫ Cutwail-B▫ 侵害したメールアカウント▫ 返信型▫ Emotet33

3.1.2. 時期による配信手法の変化

34

3.1.2.1. Web(EK)による感染 2016/07〜2017/02

Group-B

メールを利用しない感染手法。
ドライブバイダウンロード攻撃によりUrsnifに感染。
感染元となるWebサイトは攻撃者により、改ざんされ
たもの。

35

https://www.lac.co.jp/lacwatch/people/20170523_001291.html

3.1.2.2. Cutwail-A〜2017/02頃▪ 件名

日本語で書かれた、主に請求書を騙る
メール
▪ 内容

本文も日本語で、zipファイルが添付されている▪ 感染の流れzipファイルを展開するとマルウェアが出てきて、実行すると感染する
36Group-A

3.1.2.3. Cutwail-A

2017/04〜2017/09▪ 件名請求書を騙るもの、写真送付を騙るもの、宅配便を騙るもの、など▪ 内容

本文も日本語で、添付ファイル付きのメール▪ 感染の流れ添付ファイルは、jsが入ったzip
ファイル、マクロ付きxlsファイルへと徐々に変化37

Group-B

3.1.2.4. Cutwail-A

2017/12〜2019/06▪ 件名請求書を騙るもの▪ 内容

マクロ付きxlsファイルが添付されたメール▪ 感染の流れ

マクロ実行によりUrsnifに感染するが、Ursnif感染までの処理に施された
解析避けの手法が徐々に複雑化
38Group-A

3.1.2.5. Cutwail-B

2017/10〜2018/12▪ 件名オンライン・ショッピングモールからの確認メールを模したもの▪ 内容

本物のメールを入手し改変していると考えられ、見分けるのが難しい▪ 感染の流れ

メール本文中のURLをクリックするとUrsnifに感染
39Group-B

3.1.2.6. 侵害したメール

2019/04〜2019/07

Group-B

▪ 件名

簡単なもの
（Re:、Fw:、Fw:Jin'in sakugen等）▪ 内容

本文も一言二言のみで、zipやrarの圧縮ファイルが添付されたメール▪ 感染の流れ

圧縮ファイルを展開して現れるjsファイルやvbsファイ
ルを実行するとUrsnifに感染する
40

3.1.2.7. 返信型▪ 件名、内容

正規のメールへの返信▪ 感染の流れ添付のhtmlファイルのURLからzipをダウンロード、中のjs
ファイルを実行するとUrsnif
に感染。

41

2019/09

Group-B

3.1.2.8. Emotet

2019/09〜2019/10▪ 件名、内容

Emotetのばらまきメール▪ 感染の流れEmotet感染後に、後続でUrsnifに感染。
UrsnifはGroup-Bが使うものと同じであり、攻撃対象も同一。
→Group-BがUrsnif感染のために
Emotetを使用した
42Group-B

3.1.3.1. メール件名と内容請求書を騙るメール
請求書を騙るメール

主に請求書を騙るメール
主に請求書を騙るメール
主にオンラインショップを騙るメール
正規メールのコピー？

リンクから添付
ファイルへ変更
メールの表現力が低い
正規のメールに返信したような内容
Emotetに依存

43

3.1.3.2. 配信基盤別の配信先
日本以外に、ポーランド、
イタリア へも送信

日本以外に、イタリア、ポーラン
ド、スペイン、ドイツ へも送信
新たに日本配信専用botnet登場
日本向けフィッシングメールもメールアカウントを不正利用して日本へ送信
日本以外に、ポーラン
ド、ドイツ へも送信
Emotetを配信基盤として利用

44

3.2.マルウェアへの感染
マルウェアに感染させる手法を分析
・添付ファイル（maldoc）
・マルウェア（Bebloh / 別名 URLZone, shiotob）
・マルウェア（Ursnif）

45

3.2.1.1. マルウェア感染手法の変化
zip (exe) 添付

xlsファイルの添付
マクロ実行で感染

xlsファイルの添付
高度な難読化

メール内URLからダウンロードさせるjs,vbsで感染

zip (js) 添付

46

docファイルの添付
埋め込みjs実行で感染

docファイル
添付へ変化
zip (js,vbs) 添付

添付のhtmlのURLからダウンロードさせるzip内のjsで感染
Emotetを経由して感染3.2.1.1. マルウェア感染手法の変化
BeblohからUrsnifに感染

Beblohに感染

BeblohからUrsnifに感染

Ursnifに感染
Ursnifに感染

Ursnifに感染
Ursnifに感染

Ursnifに感染

47

EmotetからUrsnifに感染

3.2.1.1. マルウェア感染手法の変化
添付zip (exe) のBebloh
からUrsnifに感染

添付zip (exe) のUrsnifに感染

添付xlsからBeblohに感染

添付xlsから
Bebloh→Ursnifに感染

添付xlsからUrsnifに感染

添付xlsの高度な難読化

添付docからUrsnifに感染

メール内URLからダウンロードさせるjs,vbsでUrsnifに感染

添付zip (js,vbs) からUrsnifに感染

添付のhtmlのURLからダウンロードさせるzip内のjsでUrsnifに感染

zip (js) 添付48

添付docの埋め込みjs
実行でUrsnifに感染

EmotetからUrsnifに感染

3.2.1.2. マルウェア感染手法による内訳
ばらまきメールの感染マルウェアによる内訳

49

3.2.1.2. マルウェア感染手法による分類▪ Group-A
Cutwail-Aから添付ファイルのxlsによりBeblohに感染。
BeblohがUrsnifに感染させる。
2018年10月より難読化や耐解析機能が強化された▪ Group-B
様々な配信手法を使い主にjsからUrsnifに感染させる。

50

3.2.2. 添付ファイルの高度難読化手法

Group-A

解析をより困難にする４つの手法①高度な多段難読化→Invoke-DOSfuscation/Invoke-Obfuscationの多用②ステガノグラフィー→Invoke-PSImageの導入③BeblohをファイルレスでExplorer.exeへインジェクション

→Invoke-ReflectivePEInjectionの導入④実行環境のチェック（日本語環境でのみ動作）→Get-Cultureの確認
Analysis by @sugimu_sec51

3.2.2. 添付ファイルの高度難読化手法①Invoke-Obfuscation

52②Invoke-PSImage④Get-CultureGroup-A

3.2.2. 添付ファイルの高度難読化手法④実行環境のチェック（Powershell）

53

Group-A

(参考)ステガノグラフィコレクション

54

Group-A

3.2.3. マルウェアBeblohの分析

Group-A

Group-Aでのみ、Beblohが使用される・日本のIPで接続した場合のみ、後続のUrsnifに感染
・Ursnifだけでなく、Pushdoにも感染させていた・BeblohやUrsnifの検知回避の工夫がされている

55

日付

ファイル形式 Ursnif感染手法

2018/10 - 11末

exe

URLからダウンロード

2018/12/18 2019/05/07, 2019/06/17

dll

2019/05/27 - 6/5

exe

BeblohのC2から暗号化（XXTEA）されたUrsnifのバイナリデータをダウンロ
ードし、端末上で復号

3.2.4. マルウェアUrsnifの分析
Ursnifの設定情報による分類
SerpentKey
CBA16FFC891E31A5
A0511F7C891131A8
CBA17F7E892431A1

s4Sc9mDb35Ayj8oO

56

cvHftGpuqarQFB0D

ばらまき日時Version2018/07/02 - 2018/10/24
3000162018/10/30
300017
2018/11/06
300018
2019/02/18 - 2019/02/20
3000302019/02/28
300035
2019/04/03
300036
2019/04/23
300051
2019/05/27
300054
2019/05/30
300055
2019/06/17
300058
2018/07/18
2169962018/12/11 - 2018/12/28
216996
2019/01/21
216056
2019/04/15 - 2019/05/21,2019/06/03 - 2019/06/04 217068
2019/05/22
217068
2019/06/12 - 2019/06/19
217068
2019/07/16
217068
2018/07/25
217016

BotnetID
1000
1000
1000
1000
1000
1000
1000
1000
1000
1000
201872
201810
1000
1002
1010
1000
1006
201873

soft
1
1
1
1
1
1
1
1
1
1
1
1
3
1
1
1
1
3

3.2.4. マルウェアUrsnifの分析

Ursnif-A
id
ver

key
57

Ursnif-B

3.2.4. マルウェアUrsnifの分析

Group-A▪ Ursnif-A
BeblohからUrsnifへ感染。SerpentKeyはたまに変化
2016/11-2017/02

key="0WADGyh7SUCs1i2V"

2018/03/13-2018/11/06

key="CBA16FFC891E31A5"

2019/01/24-2019/03/06

key="A0511F7C891131A8"

2019/04/23-

key="CBA17F7E892431A1"【特徴】
・日本向けに独自カスタマイズ
・Group-Aが開発を行っている可能性
58

3.2.4. マルウェアUrsnifの分析

Group-B▪ Ursnif-B
添付またはリンクからUrsnif(Dreambot)に感染
SerpentKey = "s4Sc9mDb35Ayj8oO"【特徴】
Crime as a Serviceとして、販売されているが日本向けのUrsnif-Bは同一のグループが使用と推測（別のKeyを使うときもある）
59

3.2.4. Ursnifのkeyによる分類
UrsnifのkeyによるばらまきメールのGroupの内訳

60

3.2.4. Ursnifのkeyによる分類
key=s4Sc9mDb35Ayj8oO

key=CBA16FFC891E31A5

key=A0511F7C891131A8

key=0WADGyh7SUCs1i2V

key=CBA17F7E892431A1
key=s4Sc9mDb35Ayj8oO

key=0123456789ABCDEF

61

key=Gu9foUnsY506KSJ1

3.3. ドメインの分析使用されるドメインにも共通点があることが多い
ex)
2015-2017年に使用された
C2には特定のメールアド
レスで登録されたドメイン
が複数ある

62

Group-A

3.3. ドメインの分析
Group-Aが使用するC2ドメインの特徴 (2019/05-)
ASN

62088

IP

5.8.88.0/24,
5.188.231.0/24

registerEranet International
LimitedNameServer a.dnspod.com

Registrant
Wang Wiet
Organization MYOB Technology Pty
Ltd
63Group-A

3.3. ドメインの分析

Group-B

Ursnif-Bをダウンロードするサイトは1IPに大量のドメ
インを紐付けている
C2ドメインはFastFluxインフラを使用している
昔はDarkCloud、現在はSandiFluxを使用している[FastFlux]
1ドメインに紐づくIPが短時間で複数変化し続けることで特定されずらくする手法
https://www.proofpoint.com/us/threat-insight/post/sandiflux-another-fast-flux-infrastructure-used-malware-distribution-emerges

643.4.1. Ursnifの感染数
Ursnif の感染数
Ursnif-Aの感染数 90,000IP (2016年)※sinkholeによる観測

Ursnif-Bの感染数 63,733端末 (2019/04)
うちJapan 45,848
Dreambot Business overview 2019:http://benkow.cc/DreambotSAS19.pdf

65

3.4.2. 不正送金対象の金融機関
WebInjectionConfigの対象（不正送金対象）の組織▪ Group-A
国内の10銀行程のほか、国内の複数の銀行で共通して使うシステム▪ Group-B
国内銀行30行、カード会社11社、仮想通貨取引所8社、その他4社
66

3.4.2. 不正送金対象の金融機関の変遷
銀行 15行
カード 11社

銀行 13行+1

銀行 17行
カード 11社

銀行 18行
カード 10社

銀行 4行
銀行 8行

銀行 16行
カード 10社
仮想通貨 4社
その他 3社銀行 16行
カード 9社
仮想通貨 4社
その他 3社67

銀行 3行+1

銀行 30行
カード 9社
仮想通貨 8社
その他 3社銀行
銀行 30行
カード
カード 9社
仮想通貨
仮想通貨 8社
その他
その他 4社

3.5.1. ターゲットの国■ Group-A
Cutwail-Aの配信先- 日本、イタリア、ポーランド、スペイン、ドイツ■ Group-B
Ursnif-BのWebInjectionConfigの対象- 日本、ポーランド、イタリア、ブルガリア（一つのconfigから取得出来たケースがある）※同じ手口のメールのばらまきも確認してる。
ポーランド向けは日本向けの少し前に行われる。
68

3.5.2. Adversary
ひとまとめにGroupとしているが、その中で役割分担がされていると考えられる。
それぞれの役割/アクター間での繋がりの強さは不明①メール(Cutwail) 送信②添付ファイル製作③マルウェア製作・利用④ドメイン取得69

Group-A

3.5.2. Adversary : Group-A
指示
BeblohCutwail
C2①②

Cutwail
感染端末

スパムメール+
ダウンローダSpam配信からmalware感染までを担当
TA544(NARWHAL Spider)と呼ばれている

ダウンロードURL

Bebloh-C2

Ursnif情報漏えい

銀行サイト等
口座情報
カード情報
マニュピレーション
サーバ
70

コンフィグ
Webインジェクション

Ursnif-C2③BeblohおよびUrsnifの担当

Group-B

3.5.2. Adversary : Group-B③DreambotをService
として利用
リンク

指示
Cutwail
C2

Cutwail
感染端末

スパムメール+
リンク①Cutwail-Bによるメール配信を担当

Ursnif

情報漏えい
コンフィグ

銀行サイト等
口座情報
カード情報
マニュピレーション
サーバ
71

ダウンローダWebインジェクション

Ursnif-C2④BraZZZerS
FastFluxインフラを
Serviceとして利用

3.6.1. 配信経路とGroupの分析
配信経路とGroupを分類したばらまきメールの推移

72

(参考) 配信経路とGroupの分析
Cutwail-Bからのフィッシングを追加

73

3.6.2. ダイヤモンドモデルによる分析（1）Spam配信（3）Ursnif感染(コンフィグ配信含む)

Adversary TA544

ばらまきメール配信

スパムボ
ット
Cutwail-A

Capability（イタリア/ポーランド向けも配信） ばらまきメール

・請求書を騙る・マクロ付xls

Capability

ﾏﾆﾋﾟｭﾚｰｼｮﾝｻｰﾊﾞ
Ursnif C2

攻撃者ID
Ursnif バージョン/ビルド情報 etc.

（4）不正送金

Adversary

・多重の難読化
難読化された・ステガノ使用Powershell実行・日本語環境設定確認
Powershellによる通信
Capability

Infra

74

VictimUrsnif
動作環境を確認して感染Victim（2）Ursnifダウンロード

Ursnif

観測した挙動WebConfigの配布は稀
ターゲットのコンフィグ配布 etc.

Infra

Victimステガノ配置ホスト
URLZone C2
特定のAS使用

観測していないが想定される挙動

Adversary

コンフィグ
配布指示

Infra

Group-A

Infra

Adversary

不正送金※実際に観測しているのは(3)まで

Capability
Ursnif

ばらまき
メール
URLZone金融機関ｻｲﾄのWebﾍﾟｰｼﾞｲﾝｼﾞｪｸｼｮﾝ

Victim3.6.2. ダイヤモンドモデルによる分析（1）Spam配信（3）Ursnif感染(コンフィグ配信含む)

Adversary

スパムボ
ット
Cutwail-B
侵害した
メールetc.

観測していないが想定される挙動

Adversary

コンフィグ
配布指示

Infra

Group-B

ばらまきメール配信

Capability
ばらまきメール
・楽天/銀行を騙る
・doc/js/vbs

イタリア/ポーランド/
ブルガリア向け設定含む
ターゲットのコンフィグ配布 etc.

観測した挙動Capability

Infra
ﾏﾆﾋﾟｭﾚｰｼｮﾝｻｰﾊﾞ
Ursnif C2
攻撃者ID
Ursnifバージョン/ビルド情報
etc.
FastFlux
長期ドメイン使用

Dreambot

VictimVictim（2）Ursnifダウンロード（4）不正送金

Adversary

Adversary※実際に観測しているのは(3)まで

難読化されたPowershell実行

Infra
配信サーバ
FastFlux

・難読化(簡易)Powershellによる通信
Dreambot

Capability

Infra

不正送金

Capability
Dreambot

ばらまき
メール

金融機関ｻｲﾄのWebﾍﾟｰｼﾞｲﾝｼﾞｪｸｼｮﾝ

75

VictimVictim4. アクティブディフェンス
ただ防御するだけでなく一歩進んで、より良く防御するための手法更に進んで、より攻撃しづらくするための手法→これまで分析したキャンペーンの手法に対して防御策を実施する[アクティブ・ディフェンス]
攻撃者のコストを増加させる防御手法
https://en.wikipedia.org/wiki/Active_defense76

4. アクティブディフェンス
実施したアクティブディフェンス
対象 手法

77

時期

効果

A,B

IoCの共有(Twitter)

2018/06

数ヶ月休止

A,B

Cutwailの監視

2018/12

早期共有、遮断B

DGAドメインのSinkHole

2018/12-2019/01
2019/03

C2通信阻止感染数を減らすB

メールアカウントの調整 2019/05-07

配信手法変化A

ドメインの先読み

2019/05-06

日本向け休止4.1. IoCの共有

Group-A
Group-B

ばらまきメールを受信した組織がIoCをTwitterで共有し、連携して分析。
→各組織が遮断設定を入れることで被害を防止▪ メール件名▪ 添付ファイル情報▪ メール内リンク情報▪ マルウェア通信先【成果】
各組織におけるばらまきメールの遮断効率化
2018/08から数ヶ月休止、再開後は難読化が加速
78

4.2. Cutwailの監視Group-A
Group-B

スパムボットCutwailのメール送信内容を監視
CutwailのC2と通信し命令を受信するが外部にスパム送信しない環境を構築→通信を分析・解読してメールテンプレートを取得【成果】
メールを送信し始めるタイミングで遮断が可能
一回の配信で件名が複数ある場合でも全てを把握79

4.3. DGAドメインのシンクホール

Group-B

2018/12にUrsnif-BがC2をDGAドメインを使用→DGAドメインの生成アルゴリズムを分析
未取得のドメインを先行取得し、C2通信を阻害、感染端末を特定し通知【成果】
少量のばらまき後、2019/04まで数ヶ月活動停止。
(関連性は不明だが) Cutwail-Bの使用を止める。

80

4.4. 不正メールアカウントの調整

Group-B

2019/04-06のGroup-Bのメール送信経路を確認→正規の送信経路であり、メールアカウントが侵害されていることが判明
受信メールから送信元IPを抽出し、通知【成果】
国内の主に古いメールアカウントに侵入され、ばらま
かれたことが判明
調整を繰り返し実施(60程度)し、2019/06で使用停止
81

4.5. C2の事前予測
Group-AのC2に特徴があることを分析
C2のドメインを予測し使用IPがC2か否かを確認
C2がばらまきに利用される前に把握【成果】
C2に対するばらまき前から継続監視が可能
BeblohのDGAドメインに対するシンクホール実施
2019/06以降、日本向けのばらまき活動停止。
82

Group-A

4.5. C2の事前予測使用されるドメインの推定に成功

83Group-A

4.5. C2の事前予測

Group-A

疑似Beblohによるアクセスで
C2応答内容や応答時間を観測

日本時間の夜間は応答を返さない

Analysis by @AES256bit
84

Group-A

4.5. C2の事前予測
BeblohのDGAで使用するC2ドメインの推移
日付

DGAで使用するTLD

2018/10 - 11末.net, .com

2018/12/18 - 2019/05/07 .net, .com
2019/05/27 - 2019/05/30 .net, .com

85

2019/06/05.top, .com

2019/06/17.top, com

DGAドメインを事前取得

4.6. アクティブディフェンスの成果

Group-A

Group-Aの反応
日本向けの配信は2019/06/17が最後→2019/07/29にCutwailに感染させるばらまきが発生
その後、イタリアを中心にドイツやポーランド、USへの配信のターゲットを変更

86

4.6. アクティブディフェンスの成果

Group-A

Cutwail-Aから日本向け配信日数の推移

日本向け
配信なし

87

4.6. アクティブディフェンスの成果

Group-A

Cutwail-Aからばらまきメールの標的の推移
配信先の
多様化

88

4.6. アクティブディフェンスの成果

Group-B

Group-Bの反応→2019/09から配信経路をEmotetへ変更
Ursnif-BとEmotet経由のUrsnifのWebInjectionConfigはマニピュレーションサーバも含め完全一致→2019/10からマルウェアをUrsnifからTrickbotへ変更
Ursnif-BとTrickbotの日本を狙ったURLは完全一致→手法を変えながら、未だ継続的に日本を狙っている89

(参考) TrickbotのWebInjectionConfig

Group-B

2019/10/15以降、WebInjectionConfigに日本が追加
日本が占める割合は全体の約30%弱（以前は0）（rcrd=1571300200126636 に日本向けが全件存在）

90Group-B(参考) Trickbotのgtag
Trickbotは感染経路によってgtagが異なる

91

配信手法

gtag

EmotetmorXX

UrsnifleoXX

IcedIDtinXX

ばらまき(zip-lnk-vbs)

onoXX

ばらまき(xls)

satXX

しかし、どのgtagでもWebInjetionConfigは同じ→ Trickbotを使うグループがどこまで同じかは不明

(参考) Ursnif-Bの2019年後半の動き
時期

配信手法

Group-B

対象

2019/08-10 htm形式の返信型

ポーランド、日本

2019/09-10 Emotetの後続感染

日本

2019/10-11 doc形式の返信型

ドイツ、チェコ

2019/12-

doc形式のばらまき チェコ、ポーラン
ド、ブルガリア※日本向けEmotet経由、ドイツ向けdoc返信型ではSerpentKey：Gu9foUnsY506KSJ1 も使用
92

(参考)日本向けばらまきメール分類
最終的なマルウェアによる分類

93

5. ばらまきメールへの対策
ばらまきメールはメールBoxまで受信させない→メールセキュリティ製品を導入し、IoCを活用する
感染時には、プロキシから通信検知
ばらまきの発生情報、IoCの入手→ Twitter94

5.1. メールセキュリティ製品へのIoC適用
メールセキュリティ製品を導入する→以下のような点で監視・ブロックの運用を行う▪ メール件名▪ メールのUser-Agent▪ メールの送信元IPアドレス▪ 添付ファイル名▪ 添付ファイル拡張子ex) Cutwail-BのUser-Agentは以下でユニーク（改行有）User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:45.0) Gecko/20100101↵
Thunderbird/45.2.0
95

5.2. プロキシによる対策
プロキシにIoCを適用し、通信を監視・ブロックする。
▪ マルウェアのダウンロードドメインは比較的短命▪ C2ドメインは比較的変更が少ないex) Ursnif-Bのドメインは数ヶ月変更なし
Ursnif感染通信の検知▪ (domain)/images/(/を含む150文字以上のランダムな文字列).jpeg※他に.avi、.gif、.bmpの拡張子への通信あり

966. まとめ▪ ばらまきメールのキャンペーンを分析することで2つのグループの違いと手法を明らかにした▪ 手法を分析することで、より積極的な防御手法を取ることが可能である▪ アクティブ・ディフェンスを行うことでGroup-Aは日本から撤退した（参考）調査に使用したIoC
https://docs.google.com/spreadsheets/d/1udcLSbNUzOI2nrPNVIWsL3iUdALAjKHPuoakGPvSu6I/edit?usp=sharing

97

THANKS!

Any questions?

@bomccss@AIR3_ytakeda @gorimpthon

Work with Community

98@58_158_177_102 @AES256bit @sugimu_sec @wato_dn@hamasho_sec @shokoaraki@tachi4439@catnap707 @autumn_good_35 @Sec_S_Owl@yukitora8@abel1ma

Presentation template by SlidesCarnival@waga_tw@satontonton